# Validateur de signature webhook.

- URL canonique: https://www.broadnet.me/fr/tools/webhook-signature-validator
- Langue: fr
- Dernière mise à jour: 2026-10-21
- Éditeur: BroadNet (https://www.broadnet.me)
- Version Markdown de la page, générée à partir de la page affichée.

HMAC · Web Crypto · s'exécute dans votre navigateur

Collez une charge utile de webhook, votre secret de signature et la signature reçue. Cet outil calcule le HMAC (SHA-256 ou SHA-1) avec l'API Web Crypto et indique s'il correspond. Générique — fonctionne pour tout webhook signé par HMAC. Rien ne quitte votre appareil.

Utilisez les octets exacts reçus — resérialiser le JSON change le hash.

Algorithme

Vérification

Le HMAC est calculé ci-dessous. Collez une signature pour vérifier qu'elle correspond.

HMAC-SHA-256 calculé (hex)

Calcul en cours dans votre navigateur…

Tout s'exécute localement via l'API Web Crypto — la charge utile et le secret ne quittent jamais cette page. Préférez toujours un secret de test à un secret de production réel dans un outil en ligne.

La réponse en bref

## Qu'est-ce qu'une signature de webhook ?

Une signature de webhook est un hash à clé — un **HMAC** — du corps de la requête, calculé par l'expéditeur avec un secret partagé par les deux parties et envoyé avec la requête, généralement dans un en-tête. Pour la vérifier, vous recalculez le HMAC sur le corps brut exact avec le même secret et le même algorithme, puis vous comparez. Une correspondance prouve que la charge utile provient d'une entité détenant le secret et n'a pas été modifiée en transit. Elle authentifie et protège l'intégrité — elle ne chiffre pas la charge utile.

### Comment vérifier correctement une signature

1. Capturez le **corps brut de la requête** avant tout traitement. La resérialisation JSON réordonne les clés et les espaces, ce qui change le hash.
2. Calculez le HMAC avec le secret partagé et la fonction de hachage de l'expéditeur (SHA-256 pour la plupart des API modernes).
3. Encodez le résultat en hexadécimal et comparez-le à l'en-tête de signature, en ignorant tout préfixe de schéma comme sha256=.
4. En production, comparez avec une fonction d'égalité à **temps constant** pour éviter les attaques par canal temporel, et rejetez les requêtes trop anciennes grâce à l'horodatage signé par le fournisseur.

## Questions fréquentes

**Qu'est-ce qu'une signature de webhook ?**

Une signature de webhook est un hash à clé (HMAC) du corps de la requête, calculé par l'expéditeur avec un secret partagé et envoyé dans un en-tête. Le destinataire recalcule le HMAC sur le corps brut exact avec le même secret et compare — s'ils correspondent, la charge utile est authentique et non modifiée. Cela prouve l'origine et l'intégrité sans chiffrer la charge utile.

**Comment vérifier une signature HMAC de webhook ?**

Prenez le corps brut exact de la requête (avant tout parsing ou resérialisation JSON), calculez le HMAC avec votre secret partagé et l'algorithme de hachage de l'expéditeur (généralement SHA-256), puis encodez le résultat en hexadécimal. Comparez-le à l'en-tête de signature, en ignorant tout préfixe comme « sha256= ». S'ils sont égaux, la signature est valide.

**Pourquoi ma signature ne correspond-elle pas ?**

Les causes habituelles sont : le corps a été resérialisé et diffère donc octet par octet de ce qui a été signé ; le mauvais secret ou algorithme de hachage ; le fournisseur signe une chaîne qui inclut aussi un horodatage ou un préfixe de version ; ou une incompatibilité d'encodage hexadécimal/base64. Hachez toujours les octets bruts exacts tels que reçus.

**Est-il sûr de coller ici un vrai secret ?**

Le calcul s'exécute entièrement dans votre navigateur via l'API Web Crypto — rien n'est envoyé ni journalisé. Par précaution générale, préférez tout de même un secret de test à un secret de production réel dans tout outil en ligne, et faites tourner un secret que vous suspectez avoir été exposé.

**Dois-je utiliser SHA-256 ou SHA-1 ?**

Utilisez HMAC-SHA-256. SHA-1 n'est proposé ici que parce que certains fournisseurs historiques envoient encore des signatures SHA-1. Les nouvelles intégrations doivent standardiser sur SHA-256.

**La signature chiffre-t-elle ma charge utile ?**

Non. Une signature HMAC authentifie la charge utile et prouve qu'elle n'a pas été altérée, mais le corps est toujours envoyé en clair. Utilisez HTTPS (TLS) pour la confidentialité ; la signature concerne l'origine et l'intégrité, pas le secret.

**Pourquoi comparer en temps constant en production ?**

Une comparaison de chaînes naïve peut révéler, par de minuscules différences de temps, combien de premiers caractères correspondent — ce qu'un attaquant pourrait exploiter pour forger une signature. En production, comparez avec une fonction à temps constant comme crypto.timingSafeEqual. Cet outil dans le navigateur compare directement car il n'y a pas d'attaquant distant à chronométrer.

[API SMS REST + SMPP 3.4, authentification par jeton Bearer, webhooks de remise.](https://www.broadnet.me/fr/products/sms-api) [Passerelle SMSC SMSC de niveau opérateur sur SMPP + SS7.](https://www.broadnet.me/fr/operators/smsc-gateway) [Espace développeurs Démarrage rapide, TypeScript SDK, références et outils.](https://www.broadnet.me/fr/developers)

## Vérifiez tout webhook signé par HMAC.

Ce validateur fonctionne avec tout fournisseur qui signe ses webhooks avec HMAC. Quand vous êtes prêt à développer, BroadNet propose une API REST avec jeton Bearer, des webhooks d'accusés de remise et des binds SMPP 3.4 directs.

[Espace développeurs](https://www.broadnet.me/fr/developers) [API SMS](https://www.broadnet.me/fr/products/sms-api)